CVE-2026-26956

CVE-2026-26956 betrifft vm2, eine Open-Source-VM/Sandbox für Node.js, spezifisch Version 3.10.4. Es handelt sich um eine kritische Sandbox-Escape-Schwachstelle, die einem Angreifer die vollständige Umgehung der Sandbox und die Ausführung beliebigen Codes auf dem Host-System ermöglicht. Angreifer-Code innerhalb von VM.run() kann Host-Prozessobjekte erlangen und Host-Befehle ohne Kooperation des Hosts ausführen. Diese Schwachstelle führt zu einer vollständigen Kompromittierung des Host-Systems. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als extrem schwerwiegend einzustufen. Die EPSS-Wahrscheinlichkeit liegt bei 1%, was auf eine derzeit geringe Ausnutzung hindeutet, jedoch ist das Potenzial für schwerwiegende Auswirkungen hoch. Die Schwachstelle ist nicht im CISA KEV-Katalog aufgeführt, was bedeutet, dass sie derzeit nicht aktiv von staatlich gesponserten Bedrohungsakteuren ausgenutzt wird. Sicherheitsteams sollten vm2-Installationen umgehend auf Version 3.10.5 aktualisieren, um diese kritische Sandbox-Escape-Schwachstelle zu beheben. Eine schnelle Patch-Implementierung ist aufgrund der hohen Kritikalität und der Möglichkeit der vollständigen Systemkompromittierung dringend erforderlich. Zusätzlich sollten Systeme, die vm2 verwenden, auf ungewöhnliche Aktivitäten überwacht werden.